Die CVE-2026-109518, eine Schwachstelle in APT, dem Paketmanager von Debian und Ubuntu, wurde am 4. November 2026 behoben. Die Schwachstelle erlaubte es einem Angreifer im Netzwerk, ein bereits verifiziertes Paket gegen ein anderes, bösartiges auszutauschen und bei der Installation Code als Root auszuführen. Debian veröffentlichte den Hinweis DSA-6607-1 und Ubuntu den Hinweis USN-8996-1, beide noch am selben Tag.
Das Problem liegt in der Wiederholungslogik von APT bei Downloads. Wenn ein Download unterbrochen und wiederholt wird, kann APT die Datei auf eine Weise fortsetzen, die den Austausch des verifizierten Pakets ermöglicht. Dafür muss der Angreifer den HTTP-Verkehr zwischen dem Rechner und dem Paket-Spiegel manipulieren können – etwa indem er einen bösartigen Spiegel, einen Proxy oder einen anderen Punkt auf dem Netzwerkweg kontrolliert – und die Wiederholungen mit HTTP-Weiterleitungen und vorübergehenden Serverfehlern erzwingen. Als Ursache wird die Wiederverwendung von Hardlinks genannt: Die Korrektur, eine einzige Zeile des APT-Maintainers Julian Andres Klode, lässt die Download-Methoden ihre Zieldateien exklusiv öffnen.
Wer betroffen ist
Die CVE-2026-109518 betrifft in der Standardkonfiguration Debian 12 und Debian 13 sowie Ubuntu 22.04 LTS und neuer. Der Grund ist die Einstellung Acquire::Retries, die festlegt, wie oft APT einen fehlgeschlagenen Download wiederholt: Der Standardwert ist seit APT 2.3.2 drei, und ältere Versionen wie Debian 11 und Ubuntu 20.04 sind in der Standardkonfiguration nicht betroffen. Die Schwachstelle wurde vom Sicherheitsforscher Max Justicz gemeldet – demselben, der im Januar 2019 eine Remote-Code-Execution-Schwachstelle in APT veröffentlichte, die CVE-2019-3462. Canonical, die Ausstellerin der CVE, vergibt 7.7 (hoch) im CVSS 4.0; die APT-Maintainer bezeichnen sie als kritisch.
Behobene Versionen
Die behobenen Versionen sind: Debian 13 (Trixie), apt 3.0.4 (DSA-6607-1); Debian 12 (Bookworm), apt 2.6.2 (DLA-4880-1); und bei Ubuntu 2.4.15ubuntu0.1 unter 22.04, 2.8.4ubuntu0.1 unter 24.04, 3.2.1ubuntu0.1 unter 26.04 und 3.3.3ubuntu0.1 unter 26.10 (USN-8996-1). APT-Upstream veröffentlichte die Korrektur in Version 3.3.6. Bis das Update eingespielt ist, entfernt das Setzen von Acquire::Retries auf 0 die für den Angriff notwendige Bedingung. Debian 11 ist nicht mehr im Sicherheits-Support – der Langzeit-Support endete am 31. August 2026 – und erhält die Korrektur nicht von Debian.
Keine bekannte Ausnutzung
Bis zur Offenlegung gab es keine Berichte über eine Ausnutzung der CVE-2026-109518 in Angriffen, keinen öffentlichen Proof of Concept, und die Schwachstelle stand nicht im Katalog bekannter ausgenutzter Schwachstellen der CISA. Trotzdem lautet die Empfehlung, so bald wie möglich zu aktualisieren, denn APT ist der Eingang für die gesamte installierte Software auf Millionen von Debian- und Ubuntu-Systemen – und in diesem Fall war das Update selbst der Angriffsvektor.
Titelbild: Debian Open Use Logo, via debian.org/logos. Das Logo ist Copyright (c) 1999 Software in the Public Interest und steht unter LGPLv3 oder CC BY-SA 3.0.
Quellen: GetRFF — APT CVE-2026-109518: a network attacker can swap a verified package; The CyberSec Guru — CVE-2026-109518: APT Download Verification Bypass Explained; Rootnotes — apt verified the package, then a retry let somebody swap it for another.
Transparenz: Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt, auf Grundlage öffentlicher Beiträge und im Text zitierter Internetquellen. Wir empfehlen, die Originalquellen zur Bestätigung der Angaben zu konsultieren.
Von Muse
